Qual o valor de uma informação no mercado negro dos dados?

Quanto vale um segredo empresarial? Para um ex-executivo de uma contratada de defesa dos Estados Unidos, a comercialização ilegal de tecnologia confidencial resultou em contratos de até US$ 4 milhões em criptomoedas. Em fevereiro de 2026, Peter Williams foi condenado a 87 meses de prisão por subtrair componentes de ferramentas cibernéticas sigilosas e vendê-los a um intermediário russo. Segundo o Departamento de Justiça americano, ele recebeu US$ 1,3 milhão pelos materiais efetivamente entregues.

Entre abril de 2022 e agosto de 2025, Williams utilizou suas credenciais profissionais para retirar oito componentes de ferramentas de exploração de vulnerabilidades, destinados exclusivamente ao governo americano e a aliados selecionados. O episódio evidencia uma modalidade de crime em que o objetivo não é necessariamente interromper operações ou exigir resgate, mas obter conteúdos com valor comercial ou estratégico.

No Brasil, o custo médio de uma violação de dados atingiu R$ 7,44 milhões em 2026, aumento de 3,5% em relação ao levantamento anterior, segundo o relatório Cost of a Data Breach, da IBM, divulgado em 15 de outubro. A pesquisa analisou incidentes em 602 organizações de diferentes países, incluindo 42 brasileiras, entre março de 2025 e fevereiro de 2026. Na saúde, setor com o maior custo médio no país, o valor chegou a R$ 12,55 milhões por ocorrência. Os números abrangem despesas e perdas decorrentes dos incidentes, não o preço de comercialização dos materiais subtraídos.

Para Daniel Peres, executivo e especialista em cibersegurança com mais de 17 anos de experiência, a gravidade de um ataque não deve ser medida apenas pelo tempo necessário para restabelecer uma operação. “Uma empresa pode recuperar seus sistemas depois de um ataque, mas isso não significa que recuperou o controle das informações roubadas. Dependendo do conteúdo, o criminoso pode continuar explorando aqueles dados por muito tempo, seja por meio de extorsão, fraude ou comercialização ilegal”, explica.

A exposição de registros médicos ajuda a dimensionar esse risco. Um ataque à Change Healthcare, companhia americana de tecnologia para o setor de saúde, ocorrido em 2024, comprometeu dados protegidos de aproximadamente 192,7 milhões de pessoas, conforme atualização divulgada pelo Departamento de Saúde e Serviços Humanos dos Estados Unidos em julho de 2025. A ocorrência chamou atenção tanto pela dimensão quanto pela sensibilidade dos arquivos envolvidos. Diferentemente de uma senha, que pode ser substituída, diagnósticos, históricos de tratamento e condições de saúde permanecem associados ao indivíduo. Sua divulgação indevida pode abrir espaço para constrangimento, discriminação, fraudes direcionadas e tentativas de extorsão.

No ambiente corporativo, outros conteúdos também despertam interesse criminoso. Imagens de câmeras de segurança, gravações de reuniões, contratos e documentos estratégicos podem revelar rotinas, decisões comerciais e negociações ainda não anunciadas. Dependendo das circunstâncias, sua exposição pode comprometer anos de investimento, antecipar projetos ou beneficiar terceiros de maneira ilícita.

O caso de Williams também chama atenção para o risco representado por pessoas que possuem autorização para consultar arquivos restritos. Funcionários, prestadores de serviços e parceiros frequentemente lidam com materiais essenciais ao funcionamento de uma organização. Quando essas permissões são utilizadas indevidamente ou as credenciais acabam comprometidas, as consequências podem ser tão graves quanto as de uma invasão externa. “Muitas empresas concentram esforços em impedir ataques externos, mas precisam observar também quem já tem acesso às informações. Uma credencial legítima nas mãos erradas pode abrir caminho para o roubo de documentos estratégicos sem que o criminoso precise romper todas as barreiras de segurança”, alerta Peres.

A prevenção exige identificar os ativos mais sensíveis, limitar permissões ao necessário para cada atividade e monitorar movimentações suspeitas. Criptografia, autenticação multifator, revisão periódica de acessos e planos de resposta a incidentes ajudam a reduzir a exposição.

A Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece obrigações relacionadas à segurança de registros pessoais. Ocorrências que possam causar risco ou dano relevante aos titulares estão sujeitas às regras de comunicação previstas pela Autoridade Nacional de Proteção de Dados (ANPD), além de possíveis consequências administrativas.

Na avaliação de Lucas Paglia, advogado especialista em direito digital e cibersegurança, a responsabilidade das organizações não se limita à proteção técnica dos sistemas. “Quando ocorre um vazamento, a discussão jurídica não termina na identificação da falha. É necessário avaliar os riscos para as pessoas afetadas, as medidas adotadas para reduzir os danos e se a empresa cumpriu seus deveres de prevenção e transparência. A proteção de dados envolve responsabilidade antes, durante e depois de um incidente”, explica.

Nem todo prejuízo provocado por uma violação aparece imediatamente no balanço. Enquanto a paralisação de um serviço pode ser medida em horas, a divulgação de um segredo industrial, de um documento estratégico ou de um prontuário pode produzir efeitos prolongados. Em determinadas situações, recuperar o funcionamento dos sistemas é apenas parte do problema.